IoTシステムは、企業競争力の維持に無くてはならないものとなっています。しかし、その一方で、さまざまなテクノロジーを活用しあらゆるものが繋がることで、サイバー攻撃による被害が急激に増加しています。
KPMGは、IoT特有の制約を考慮したセキュリティ対策について、最新の脅威動向から想定されるリスクを網羅的に分析し、技術・マネジメントの両面から支援します。

IoTの市場規模・適用領域の拡大

IoTは、さまざまな領域に適用され、その市場規模は拡大を続けており、重要インフラは言うまでもなく、日常生活のありとあらゆるところにIoT製品が活用されています。製造業の生産現場ではVR／ARなどの技術を活用した省力化や自動化、センサーなどのデータ収集・AIの分析による生産の効率化や予兆保全などのデジタル化が進んでおり、日常生活においてもスマートホームや自動運転など、利便性の向上やこれまでになかったサービスが実現されています。今後も業界を問わず、多くの企業でIoTシステムの開発が検討・実施されていくと思われます。

IoTシステムを取り巻く脅威

新たな知見や価値の創出を実現するために、IoTシステムは、クラウド、AI、LPWA、5G、エッジコンピューティングなどのテクノロジーを活用しています。ありとあらゆるものをネットワークに接続することが前提となるため、IoTシステムを構成するすべての要素（エッジ（IoT機器）・ネットワーク・クラウドなど）がサイバー攻撃の標的となり得ます。
サイバー攻撃は年々増え続けており、そのなかでもIoTシステムを対象とした攻撃の増加が顕著になっています。IoTシステムはサイバー・フィジカルの双方の特徴を有することから、サイバー攻撃によって不正な操作や情報の改ざん、プライバシーの侵害、事故など、サービスの利用者に対して非常に大きな被害を与えることも想定しなければなりません。

IoTシステムに求められるセキュリティ対策

IoTシステム全体をあらゆるセキュリティ脅威から保護するためには、IoTシステムを構成するすべての要素に対する攻撃経路を洗い出し、最新の攻撃手法も踏まえたリスクシナリオを分析する必要があります。また、それぞれのIoTシステムに特有の脅威や脆弱性、セキュリティ対策への制約を考慮しながら、技術的なセキュリティ対策とセキュリティポリシーの策定・遵守、インシデント発生時の対応体制の構築などのマネジメント面での対策とを併せて実施することが極めて重要となります。

IoT セキュリティアセスメントフレームワーク

要素	確認事項
認証と認可	ユーザーやデバイスの認証によってサービスへアクセス可能となり、適切なシステム利用権限が与えられるかを確認します。
監視と保守	監視と保守が適切に行われており、問題発生時に検知と迅速な対応ができるかを確認します。
セーフティ	人命や資産などの現実世界に対する致命的な影響が発生しないように設計されているかを確認します。
レジリエンス	障害やサイバー攻撃が発生した場合に、縮退やバックアップによるシステム保護やサービス継続が可能かを確認します。
プライバシー	サービスが個人情報および個人の特定につながる情報を漏洩させることがないかを確認します。
アタックベクター	サイバー攻撃の入り口となり得るシステムの脆弱性を確認します。
データ保護	サービスで使用するデータが使用状況に応じて改ざん／削除／盗用などから適切に保護されていることを確認します。
ライフサイクル	サービスに使用されるデバイスが製造から廃棄の前工程において適切に管理されていることを確認します。

KPMGによる支援

KPMGでは、IoTシステムがもたらすサイバーとフィジカルの双方への影響と保護すべき範囲の特定から、想定され得るセキュリティ脅威に対するリスクの分析と現状のセキュリティ対策の有効性の評価、あるべき姿とのギャップを埋めてリスクを低減するためのセキュリティ対策案の検討を支援します。
また、IoTセキュリティアーキテクチャの構想、IoTのセキュリティを適切にマネジメントしていくための人材育成や体制構築、監視・運用の設計など、総合的な支援が可能です。